全部知识文档

服务器与云取证 > 面板与控制台

远程控制工具痕迹

前面几篇的排查顺序都是从文件系统和日志入手。但有一类痕迹，它的起点不在磁盘上，而在网络连接表里。

最后更新 2026-10-09

阅读

服务器与云取证 > 面板与控制台

其他管理面板取证

宝塔之外，Linux 服务器上还有大量其他管理面板。

最后更新 2026-10-09

阅读

内存与专项取证 > 镜像采集

内存采集方法

内存只有一次采集机会，而"能不能采到"这件事在不同平台上的答案完全相反。

最后更新 2026-10-09

阅读

计算机取证 > 日志分析

Linux 时间线重建

Windows 侧做时间线有个便利：事件日志带年份、带时区、精度到毫秒，还集中在少数几个文件里。导出即完整时间线。

最后更新 2026-10-09

阅读

取证基础与规范 > 取证概念

反取证手法与时间戳篡改检测

时间戳在取证报告里承担的角色很重——「该文件于某时创建」「该用户在某时访问过目标文档」。但它的可修改性在所有工件里排第一：改一个文件的时间戳不需要管理员权限、不触发安全审计、不留下新的文件内容，只改动 MFT 里的几个数字。

最后更新 2026-10-09

阅读

取证基础与规范 > 流程与原则

取证技能树与学习路径

很多人的入门路径是这样：跟着视频敲一遍 imager 做一个镜像，导入 GUI 看到一堆文件，觉得"我会了"。然后遇到真实案件——一个装满加密卷的笔记本、一台已锁机的手机、一台被入侵的服务器——完全无从下手。

最后更新 2026-10-09

阅读

计算机取证 > 持久化机制

计划任务与持久化痕迹

"开机自动运行"这件事被分散在十几个互不相干的位置，每个位置有各自的格式、不同的加载时机、不同的日志记录方式。

最后更新 2026-10-09

阅读

计算机取证 > 安全与权限

取证工件地图

拿到 Mac 镜像后的第一个障碍不是技术，是心智模型。

最后更新 2026-10-09

阅读

内存与专项取证 > 内存工件

内存中的凭据与密钥

内存是唯一一个能拿到运行时明文密钥的地方。

最后更新 2026-10-09

阅读

取证基础与规范 > 流程与原则

五阶段流程与基本原则

电子证据有一个物理世界证据没有的性质：单向衰变。一旦被改写就无法还原，一旦被污染就无法自证。硬盘上的一个扇区被覆盖，原内容不在任何备份里；一份台账漏记一段时间，那段时间的状态永远说不清。

最后更新 2026-10-09

阅读

加密与密码取证 > 应用与数据库加密

Passware Kit 与通用密码恢复方法论

前面几篇讨论的是加密存储：BitLocker 的 FVE metadata、EFS 的 $EFS 流、VeraCrypt 的卷头。它们有一个共同点——密钥或密钥材料留在系统的某个可利用位置上，取证是"找到它"的过程。

最后更新 2026-10-09

阅读

内存与专项取证 > 内存分析

注入执行与免杀痕迹

只要代码跑起来，就会在内存里留下痕迹——这是绕不开的物理事实，也是这里全部检测面的来源。但痕迹能否在镜像里读到，取决于相关页是否仍驻留、有没有被覆盖或释放。

最后更新 2026-10-09

阅读